Desde Nigeria hasta Kenya y Sudáfrica, los reguladores están introduciendo normas que exigen que ciertas categorías de información sensible permanezcan dentro de las fronteras nacionales, o que imponen condiciones más estrictas para transferirla al extranjero. El impulso refleja una preocupación más amplia: a medida que los datos se vuelven cada vez más valiosos para la inteligencia artificial, los gobiernos quieren mayor control sobre la información generada por sus ciudadanos, empresas e instituciones públicas.

Para los proveedores globales de nube, esto crea un mercado difícil de navegar. Los sistemas de IA necesitan acceso a grandes volúmenes de datos para ser útiles, pero esos mismos datos están cada vez más sujetos a reglas sobre dónde pueden almacenarse, procesarse y accederse.

Amazon Web Services (AWS) apuesta a que puede resolver esa tensión, dando a las organizaciones africanas acceso a la IA y a infraestructura global en la nube, al tiempo que les permite conservar el control sobre los datos sensibles. La estrategia se está convirtiendo en el centro de la propuesta de AWS para las empresas africanas. En lugar de tratar la soberanía de datos como una barrera para adoptar la nube, la compañía la presenta como algo que puede incorporarse a la arquitectura del servicio en la nube.

El costo de mantener los datos cerca

La localización, sin embargo, tiene costos. Mantener los datos dentro del país puede reducir la latencia a menos de 15 milisegundos, algo valioso para servicios en tiempo real como banca y pagos. Pero alojarlos localmente también puede ser más caro, sobre todo en mercados donde suministros eléctricos inestables obligan a los centros de datos a depender de costosas generadoras de respaldo. Las empresas que enfrentan normas estrictas de localización también pueden necesitar configuraciones híbridas, manteniendo los datos sensibles localmente mientras acceden a herramientas de IA y otros servicios desde infraestructura en el extranjero, lo que añade costos de infraestructura y licencias.

La complejidad aumenta para las empresas que operan en los 54 mercados de África. Las distintas reglas bajo la NDPA de Nigeria, la POPIA de Sudáfrica y la Ley de Protección de Datos de Kenya pueden obligar a las compañías a gestionar requisitos separados de cumplimiento y riesgo en cada mercado. Las tres leyes se apoyan en gran medida en el GDPR europeo, que ha servido como modelo global de protección de datos desde 2018, pero cada una añade requisitos de localización que van más allá de él, convirtiendo un mismo origen jurídico en obligaciones prácticas divergentes. El uso de productos de nube soberana como AWS Outposts o Azure Local también puede aumentar la dependencia de las plataformas y API de los grandes proveedores de nube.

"Cumpliendo con las leyes"

En el AWS Summit de Johannesburgo el 19 de agosto, Jonathan Allen, ejecutivo residente de AWS, dijo que la compañía se centra en cumplir con las leyes de los más de 100 países en los que opera y en adaptar su infraestructura para satisfacer los requisitos locales.

"Siempre nos enfocamos en cumplir con las leyes de los países en los que operamos", dijo Allen.

Eso puede sonar como un compromiso sencillo con la regulación, pero refleja un cambio más amplio en el mercado de la nube. Los gobiernos ya no solo preguntan si los proveedores de nube pueden proteger sus datos; cada vez más quieren controlar dónde se almacenan los datos, quién puede acceder a ellos, qué leyes aplican y cómo se gobiernan.

Nigeria es uno de los ejemplos más claros. El Banco Central de Nigeria ha introducido requisitos de localización de datos y supervisión del mercado para el sector de pagos, ejerciendo mayor presión sobre las instituciones financieras para demostrar control sobre cómo se almacenan y gestionan los datos sensibles.

El mismo impulso está tomando forma en otros grandes mercados africanos, aunque las reglas varían:

• Sudáfrica ha pedido un mayor control local sobre los datos estratégicos del gobierno y de los servicios públicos a través de su National Policy on Data and Cloud, mientras que la POPIA impone condiciones a la transferencia transfronteriza de información personal.
• Kenya ha adoptado un enfoque más focalizado, exigiendo que ciertos datos sensibles, incluidos los registros de inscripción civil, se procesen o almacenen localmente e imponiendo salvaguardas a las transferencias transfronterizas.
• Ruanda ha ido más lejos en sectores críticos, con requisitos de localización para datos financieros, de pagos y de telecomunicaciones sensibles.

En conjunto, estas políticas apuntan a un cambio más amplio: los gobiernos africanos ven cada vez más los datos como infraestructura estratégica y no simplemente como un activo empresarial, y buscan un mayor control sobre cómo se almacenan, procesan y transfieren. Eso está convirtiendo la soberanía de datos en una parte cada vez más importante del entorno operativo para las empresas tecnológicas del continente.

El enfoque "sovereign-by-design" de AWS

Para AWS, la respuesta es lo que llama un enfoque "sovereign-by-design". La compañía dice que su infraestructura en la nube ofrece a los clientes mayor control sobre dónde se almacenan y procesan sus datos, cómo se cifran y quién puede acceder a la información sensible.

La infraestructura de AWS incluye Local Zones y Outposts, mientras que su Nitro System proporciona aislamiento basado en hardware para cargas de trabajo que se ejecutan en Amazon EC2. Los clientes también pueden usar claves de cifrado administradas por el cliente, incluidas opciones que mantienen el material criptográfico fuera del control de AWS.

La importancia no es simplemente que AWS haya añadido más funciones de seguridad. Es que la compañía está tratando de separar el uso de infraestructura global en la nube de la renuncia al control de los datos.

Esa distinción importa a medida que la IA se integra en las operaciones comerciales cotidianas.

Fred Kitunga, director de información de Kenya Airways, está viendo ese cambio de primera mano. La aerolínea está considerando cada vez más la IA y los datos no como proyectos aislados de TI, sino como herramientas para tomar mejores decisiones de negocio, desde determinar la rentabilidad de un vuelo hasta entender a los clientes y responder a amenazas de ciberseguridad.

"Estamos analizando cómo podemos transformar el negocio en términos de la intención estratégica", dijo Kitunga a TechCabal al margen del AWS Summit. "No miramos qué tecnologías podemos desplegar. Se trata de qué problemas de negocio se resuelven".

Ese enfoque requiere acceso a datos organizacionales confiables. Pero Kenya Airways opera a través de fronteras, con clientes y operaciones en múltiples jurisdicciones. Kitunga dijo que la aerolínea, por ello, se apoya en estándares internacionales de protección de datos mientras mantiene una política a nivel de junta directiva que rige los datos y la IA.

"Nos apoyamos más en los estándares globales de GDPR que existen", dijo.

Sus comentarios ilustran por qué el debate sobre soberanía en África es más complejo que simplemente exigir que todos los datos permanezcan dentro de las fronteras nacionales.

Para una empresa multinacional, el desafío muchas veces no es mantener físicamente cada dato dentro de un solo país. Es saber qué datos están sujetos a qué reglas y contar con suficientes controles técnicos y organizativos para demostrar cumplimiento.

Esa es la brecha que AWS dice querer cubrir. La compañía quiere que las empresas crean que pueden usar la capacidad de cómputo y las capacidades de IA de un proveedor global de nube sin perder el control sobre cargas de trabajo sensibles. En el modelo de AWS, la soberanía pasa a ser una cuestión de arquitectura y gobernanza, no solo de geografía.

Mayor escrutinio

Esa propuesta enfrentará un escrutinio creciente. A medida que los sistemas de IA se vuelven más potentes, los datos que consumen se vuelven más importantes estratégicamente. Registros financieros, información de identidad, datos de salud, bases de datos gubernamentales e historiales de clientes pueden servir como insumos para sistemas de IA. Por ello, los gobiernos tienen un incentivo más fuerte para regular no solo dónde se almacena esa información, sino también cómo se procesa.

Esto es especialmente importante para las instituciones financieras.

AWS afirma que su infraestructura en la nube está diseñada para satisfacer las necesidades de seguridad y cumplimiento de organizaciones altamente reguladas. La compañía opera en Nigeria desde que abrió su oficina en Lagos en 2022 y ha invertido en infraestructura local, incluida una AWS Local Zone. También dice que ha capacitado a más de 180,000 nigerianos en habilidades de nube desde 2017.

Pero una presencia local no resuelve la cuestión más amplia que enfrentan los proveedores globales de nube: ¿quién controla la infraestructura y los datos que cada vez más sustentan a las economías nacionales? A medida que los gobiernos dan mayor valor a la soberanía de datos, las empresas de nube están teniendo que ofrecer a los clientes más control sobre dónde se almacenan los datos, cómo se accede a ellos y qué leyes los rigen.

AWS no está sola en adaptarse a este cambio. Microsoft ha construido su estrategia de soberanía en torno a varios modelos, entre ellos Sovereign Public Cloud, Sovereign Private Cloud mediante Azure Local y National Partner Cloud. Estas opciones están diseñadas para ayudar a gobiernos y empresas a mantener cargas de trabajo sensibles dentro de las jurisdicciones requeridas, sin dejar de acceder a los servicios de nube más amplios de Microsoft.

Google Cloud adopta un enfoque similar mediante sus ofertas Data Boundary y Google Distributed Cloud. Los clientes pueden controlar las claves de cifrado y restringir dónde se almacenan o transfieren los datos, mientras que las cargas de trabajo más sensibles pueden ejecutarse en infraestructura desplegada en las instalaciones o en entornos aislados.

Huawei Cloud pone mayor énfasis en la infraestructura y el control locales. Su modelo implica desplegar infraestructura de nube dedicada dentro de un país, con operaciones y controles locales que rigen el almacenamiento, el registro y la eliminación de datos. El objetivo es mantener los datos sensibles dentro de las fronteras nacionales y cumplir con los requisitos locales de soberanía.

Oracle ha tomado otra ruta, permitiendo que empresas de telecomunicaciones, instituciones financieras y gobiernos ejecuten entornos de nube dedicados dentro de sus propias instalaciones o a través de socios locales. Estos despliegues están diseñados para mantener los datos y las operaciones en la nube dentro de la jurisdicción requerida, sin dejar de ser compatibles con el ecosistema de nube más amplio de Oracle.

Para AWS, el desafío es hacer que su modelo de nube global sea lo suficientemente flexible como para adaptarse a estos distintos requisitos nacionales. Allen señaló a Europa como un ejemplo de dónde AWS ha desarrollado infraestructura en la nube adaptada a necesidades específicas de soberanía regional. El mismo enfoque podría volverse cada vez más importante a medida que los gobiernos africanos exijan mayor control sobre los datos y la infraestructura que sostienen sus economías digitales.

"Operamos en bien más de 100 países diferentes en todo el mundo", dijo. "Cuando se observa Europa, por ejemplo, hemos creado específicamente la European Sovereign Cloud para satisfacer esas necesidades específicas. Y seguimos evaluando todos los países y regiones a medida que operamos en todo el mundo para atender sus necesidades y preocupaciones específicas".

El enfoque probablemente será cada vez más importante en África a medida que los gobiernos desarrollen sus propios marcos de soberanía digital.

Pero aquí existe una tensión. Las normas de localización estrictas pueden dar a los gobiernos mayor control sobre la información sensible, pero también pueden elevar el costo de los servicios de nube y dificultar que las empresas accedan a infraestructura global y capacidades de IA. Las reglas fragmentadas entre 54 países también podrían dificultar que las empresas africanas escalen productos digitales más allá de las fronteras.

Para los gobiernos, el desafío es proteger los datos estratégicos sin crear un entorno digital tan restrictivo que limite la innovación.

Para AWS, la oportunidad es demostrar a los gobiernos que la soberanía de datos y la adopción de IA no tienen por qué ser objetivos en competencia. Su nueva organización de Forward Deployed Engineering, respaldada por una inversión de $1 billion, está diseñada para colocar ingenieros de AWS junto a equipos empresariales para llevar más rápido los proyectos de IA a producción. En los mercados africanos altamente regulados, esa propuesta importa porque desplegar IA requiere más que un modelo potente; también exige una sólida gobernanza de datos, seguridad y cumplimiento.

Las ambiciones de IA de África dependerán del acceso a capacidad de cómputo, datos e infraestructura a escala. Por ello, los gobiernos necesitan proteger la información sensible sin encarecer demasiado los servicios de nube ni crear 54 mercados digitales separados. Un enfoque práctico sería localizar los datos verdaderamente sensibles, controlar cómo se mueven entre fronteras y dar a las organizaciones herramientas claras para demostrar dónde y cómo se usan sus datos.

Para AWS y sus rivales, la soberanía está convirtiéndose en una ventaja competitiva, no solo en un tema de cumplimiento. Los proveedores que puedan dar a las empresas africanas acceso a capacidades globales de IA al mismo tiempo que cumplen con los requisitos locales de datos estarán mejor posicionados para la próxima ola de crecimiento de la nube. Para África, el objetivo debería ser convertir la soberanía de datos en una base para la adopción de la IA y la capacidad digital local, y no en una norma que frene ambas cosas.